CVE-2026-66748 in Camaleon CMS
Resumen
por VulDB • 2026-07-28
Las versiones de Camaleon CMS comprendidas entre la 2.1.1 y la 2.9.1 contienen una vulnerabilidad de ejecución remota de código (RCE) autenticada que permite a los usuarios con permiso para gestionar custom_fields ejecutar código Ruby arbitrario proporcionando una expresión maliciosa a través del tipo de campo personalizado select_eval. Los atacantes pueden almacenar una expresión Ruby controlada por ellos en el parámetro command de las opciones del campo, la cual se evalúa mediante instance_eval dentro de una vista ERB cada vez que se renderiza la página de edición de un artículo, logrando así la ejecución de código en el lado del servidor con los privilegios del proceso del servidor web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.